安全研究人員在DJI多款無(wú)人機(jī)中發(fā)現(xiàn)嚴(yán)重藍(lán)牙安全漏洞（CVE-2026-78306與CVE-2026-77812）。其中CVE-2026-77812被評(píng)為9.4分的臨界漏洞，CVE-2026-78306評(píng)分為8.5分。漏洞源于設(shè)備藍(lán)牙接口未對(duì)DUML（DJI通用標(biāo)記語(yǔ)言）協(xié)議進(jìn)行身份驗(yàn)證，攻擊者在藍(lán)牙信號(hào)覆蓋范圍內(nèi)即可發(fā)送指令、修改無(wú)線參數(shù)或截獲敏感憑證。

該漏洞的攻擊向量并非遠(yuǎn)程互聯(lián)網(wǎng)入侵，而是依賴物理鄰近性。一旦通過(guò)藍(lán)牙接口篡改網(wǎng)絡(luò)配置或獲取內(nèi)部網(wǎng)絡(luò)訪問權(quán)限，攻擊者理論上可觸及飛行控制界面并發(fā)出指令。此外，惡意命令可直接導(dǎo)致Wi-Fi與藍(lán)牙模塊重啟或斷開，中斷飛行中的遙控、視頻傳輸與遙測(cè)數(shù)據(jù)。CISA相關(guān)記錄顯示目前“無(wú)已知利用”，尚未發(fā)現(xiàn)大規(guī)模劫持事件。

受影響機(jī)型涵蓋DJI Neo、Flip、Air 3/3S、Avata 2/360、Mavic 3/4系列及Mini 2/3/3 Pro/4 Pro/5 Pro等多個(gè)世代與消費(fèi)級(jí)產(chǎn)品線，具體以未打補(bǔ)丁的固件版本為準(zhǔn)。兩項(xiàng)漏洞由研究員Abdelrahman Yousef與Dr. Jordan Samhi負(fù)責(zé)任地披露，二人已獲DJI安全響應(yīng)中心認(rèn)可。CVE-2026-77812于2026年8月21日公開，CVE-2026-78306于8月24日跟進(jìn)發(fā)布。

官方修復(fù)方案明確為通過(guò)DJI官方工具將設(shè)備固件更新至Zui新版本。針對(duì)企業(yè)用戶，報(bào)告指出連接型無(wú)人機(jī)應(yīng)納入數(shù)字資產(chǎn)與網(wǎng)絡(luò)安全庫(kù)存管理，而非僅視為攝影器材。此次事件再次提示物聯(lián)網(wǎng)架構(gòu)中，次要無(wú)線接口若缺乏隔離與認(rèn)證，可能成為通往核心系統(tǒng)的突破口，需同步強(qiáng)化網(wǎng)絡(luò)安全與運(yùn)行安全管控。